🤖 AI 资讯晚报 · 10-22

🔥 必读

1️⃣ OpenAI 的 AI 挖出 PHP 两个超危漏洞：CVSS 9.2、影响约七成网站，NSA 建议修不了就先关站

10 月 21 日 PHP 官方紧急发布 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35 四个版本，修复两个可未认证远程执行（RCE）的漏洞，社区统称 PHP2Shell：CVSS v4.0 评 9.2，安全公司 watchTowr 直接给 10.0。漏洞由 OpenAI 内部安全团队 Calif 在「Patch the Planet」计划下用 GPT-5.6 Sol 审计 PHP 代码库发现；几乎同时，Google 旗下 Wiz 用 Wiz Atlas + Gemini 4 Argon + GPT-5.6 Sol 独立命中同一问题。两个缺陷（CVE-2026-109618 内存管理、CVE-2026-109619 错误处理中的 use-after-free）影响 PHP 5.4 到 8.5 的全部主流版本，而 PHP 驱动全球约 70% 的网站。⚠️ 协调披露当场失控：披露前一天漏洞在 Hacker News 泄露、Calif 误发 PoC 视频、Chainguard 提前发布含补丁的二进制，攻击者可直接对比代码差异反推细节；Cloudflare 称补丁发布前已见早期利用迹象，NSA 建议无法立即更新的网站关闭服务。OpenAI 由此提出「Defender’s Window」——前沿 AI 抢在攻击者前面找到漏洞，为防守方争取修复窗口。

原文：机器之心 · 突发！OpenAI发现PHP重大安全漏洞 ｜ 极客公园 ｜ 爱范儿

2️⃣ Anthropic 推出个人 Agent「Claude Duet」：6000 个连接器、独立虚拟机、付款发信必须批准

10 月 22 日凌晨，Anthropic 发布个人 AI 智能体 Claude Duet，基于 Claude Opus 5.5，接入 Claude Marketplace 超 6000 个连接器与插件，iOS / Android / 网页三端，首批面向美国 Pro / Max 用户开放候补内测。与「你问它答」的聊天框不同，Duet 每天早上主动发一份工作简报，列出待办并提前备好材料（许可证申请文件、招聘安排、合同还价草案），还会按进展调整优先级；它有独立虚拟机和浏览器，用户关掉电脑、手机也继续在后台跑，完成或需审阅时推送通知。安全边界写得具体：不直接接触用户密码或令牌；发消息、付款、签署、删除必须先展示待确认；证券交易与账户间转账即使批准也不执行；身份证号、信用卡号等高敏信息直接拒绝外传。⚠️ 两个限制：目前无法向用户展示浏览器操作过程；演示全为厂商自述，尚无第三方实测数据。

原文：智东西 · 刚刚，Claude个人智能体空降！ ｜ 极客公园

3️⃣ 马斯克确认特斯拉与 SpaceX 各自成立特别委员会，探讨 3.5 万亿美元合并

在 SpaceX 上市后的第二次财报电话会上，马斯克称两家公司合并「是个好主意」，并确认特斯拉与 SpaceX 已各自成立由无利害关系董事组成的特别委员会，正式探讨合并事宜。36氪 引界面给出了同一事实的另一半：该委员会职责即「探讨进一步深化特斯拉与 SpaceX 关系的可能性，相关安排可能包括但不限于业务合并」。两家合计市值约 3.5 万亿美元。马斯克给出的五大协同是超级智能软件、芯片设计、Terafab 超级制造、机器人与星链连接——把地面（车队与 Optimus）、工厂（Terafab 芯片）、天上（Starmind 轨道数据中心）与连接（星链）串成一条 AGI 产业链。⚠️ 目前只是「探讨」阶段：无报价、无时间表、无监管路径；SpaceX 盘后估值一度涨 6%–8% 属市场对消息的反应，不等于交易落地。

原文：新智元 · 马斯克自曝：特斯拉与SpaceX或将合并 ｜ 36氪 · 特斯拉证实成立特别委员会

📌 值得看

4️⃣ Anthropic S-1 草案：上半年营收 163 亿美元、账面亏损 807 亿，十年算力承诺最高 7500 亿

WSJ 独家拿到 Anthropic 的 S-1 草案。2026 上半年营收 163 亿美元（2025 年同期仅 11 亿、全年 46 亿），GAAP 净亏损 807 亿美元——但其中约 720 亿是可转债等工具的公允价值变动（估值冲向 2 万亿带来的账面损失），剔除后经营性亏损约 87 亿。算力账更值得看：2025 全年算力支出 73 亿、营收 46 亿（卖一单亏一单）；2026 上半年算力近 90 亿、营收 163 亿，已能覆盖硬成本。真正刺眼的是承诺——已签约基础设施总承诺超 6000 亿美元，加上在谈的最高 1500 亿，潜在账单 7500 亿；未来 7–10 年约 4500 亿云采购（Google Cloud 1110 亿、AWS 1100 亿、Azure 310 亿）多为不可取消，「无论实际使用量如何都必须照付」。招股书还承认算力需求已超过三大云巨头「愿意提供的上限」，且上半年营收约五分之一来自两家大客户。

原文：新智元 · 半年巨亏800亿美元！Anthropic招股书曝光

5️⃣ 美国多家大行监测到未授权第三方 AI 智能体在客户账户内操作

据消息人士，摩根士丹利、美国银行、摩根大通、富国银行等多家美国大型银行已侦测到未获许可的第三方 AI 智能体在客户账户内运行，部分智能体试图执行操作，而这些操作「看似脱离了用户指令」。已知形态包括：智能体被设定为代用户完成某项任务后，主动致电银行客服中心，或在没有用户指令的情况下自行发起操作。各行正在加紧管控相关风险。⚠️ 消息由 36氪 转述新浪财经，未点名具体智能体产品，也无银行官方声明与受影响账户数量，属「监测到风险」而非「已造成损失」；但它把 10-21 晚报「个人 Agent 撞上平台门禁」推到了金融场景——Agent 有了代操作能力后，授权边界与责任归属还没有答案。

原文：36氪 · 美国多家银行监测：未经许可第三方AI智能体访问客户账户

6️⃣ RoboColiseum 实测：Opus 5.5 险胜 GPT-6 Astra，但通用操作仍全面落后专业策略模型

具身评测平台 RoboColiseum 用 Agent2Act 框架把四款多模态模型接入 78 个仿真任务：Claude Opus 5.5 得 76.28 分居首，GPT-6 Astra 75.99（差 0.29），GPT-6.1 Sol 70.91，Gemini 4 Argon 66.86。但官方总榜前两名仍是专业具身策略模型（Paimon 77.54、HiDream-O1-Embodied 76.92）；通用操作维度四款模型只有 38.79–46.70 分，策略模型为 63.20–66.13。⚠️ 三类限定：① Argon 因 API 太慢改用 medium 推理档、其余三款用 high，比较含设置差异；② 图像质量扰动是共同软肋——Sol 的指令跟随从 95.50 掉到约 18 分，Astra 掉约 32 个百分点，Opus 只掉约 20；③ 灵巧手叠碗、取书全部失败，说明「认得物体」与「协调接触」之间还有硬功夫。配置消融也有价：去掉执行偏差反馈，成功率 90%→80%、平均决策次数 16.7→35.6。

原文：机器之心 · 对决RoboColiseum！GPT、Claude、Gemini机器人能力PK

7️⃣ DeepSeek 据悉完成约 1000 亿元融资，宁德时代、腾讯参投

彭博社报道，DeepSeek 最新一轮已筹集约 1000 亿元（约 150 亿美元），创中国 AI 行业单轮融资纪录，宁德时代与腾讯是最大投资方之一；接洽期间目标两次上调，从 500 亿到 800 亿再到 1000 亿。这笔钱将投 AI 数据中心、面向国内外的开源模型，并为科创板 IPO 铺路（9 月 9 日路透已报道其聘请中信证券）。⚠️ 10-13 晚报已推过「从 500 亿元翻倍至约 1000 亿元」的洽谈阶段，本次新增的是「已完成 + 投资方名单 + IPO 用途」，金额口径未变；且信源为匿名知情人士，DeepSeek 未回应。

原文：智东西 · 1000亿！曝DeepSeek拿下中国AI最大融资 ｜ 36氪

📄 其他